Apakah Social Engineering Toolkit (SET) itu ?..

Di lansir dari securitytrails — Ditulis oleh Dave Kennedy dari TrustedSec, ini adalah sumber terbuka, alat keamanan siber Python gratis yang digunakan oleh peneliti keamanan, penguji penetrasi, tim biru dan ungu dari seluruh dunia. Alih-alih menargetkan aplikasi, SET menggunakan manusia sebagai target utama teknik serangannya.

Ini menawarkan banyak fitur brilian, termasuk memalsukan nomor telepon, mengirim SMS, atau membantu membuat halaman phishing dengan langsung mengkloning yang asli. Mari jelajahi kekuatan penuh dari perangkat ini:

Fitur utama :

Multi-platform: Dapat berjalan di Linux, Unix dan Windows.
Mendukung integrasi dengan modul pihak ketiga.
Mengizinkan banyak penyesuaian dari menu konfigurasi.
Termasuk akses ke platform Pengujian Penetrasi Jalur Cepat
Opsi serangan rekayasa sosial seperti Serangan Spear-Phishing, Serangan Situs Web, Generator Media Infeksi, Surat Massal, Serangan Berbasis Arduino, Serangan QRCode, Vektor Serangan Powershell, dan banyak lagi.

SET menawarkan banyak vektor dan teknik serangan, dan hampir tidak mungkin untuk membahas semuanya dalam satu artikel. Namun, kami dapat menyoroti serangan utama di sini:

Serangan Phishing : Opsi ini memungkinkan Anda memilih dari beberapa opsi serangan phishing untuk membantu Anda memutuskan cara mendekati korban. Anda dapat membuat pesan email dengan lampiran muatan berbahaya, dan mengirimkannya ke sejumlah kecil atau banyak penerima.

Ini juga memungkinkan Anda memalsukan alamat email Anda dengan mengubah variabel sederhana, yang membuatnya sangat mudah digunakan.

Web Attack : Modul ini menggabungkan berbagai opsi untuk menyerang korban Anda untuk mengkompromikan korban jarak jauh. Ini termasuk teknik serangan seperti Java Applet Attack dan Metasploit Browser Exploit untuk mengirimkan muatan berbahaya. Juga berguna adalah metode Credential Harvester, yang memungkinkan Anda mengkloning situs web dan mengambil informasi dari bidang pengguna dan kata sandi, serta teknik TabNabbing, HTA Attack, Web-Jacking, dan Multi-Attack, semuanya dengan tujuan yang sama untuk menipu akhir pengguna untuk mengungkapkan kredensial mereka.

Infectious Media Generator : Opsi menarik ini memungkinkan Anda membuat perangkat media yang terinfeksi (USB/CD/DVD) dengan file autorun.inf, yang nantinya dapat dimasukkan ke PC mana pun dan secara otomatis akan menjalankan muatan Metasploit jika autorun diaktifkan.

Buat Muatan dan Pendengar : Dengan menggunakan opsi keempat dari menu utama, Anda akan dapat membuat muatan berbahaya untuk Windows, termasuk Shell Reverse_TCP, Reverse_TCP Meterpreter, Shell Reverse_TCP X64 dan Meterpreter Reverse HTTPS. Seperti yang dapat Anda lihat dari namanya, Anda akan dapat menelurkan shell perintah, membuat koneksi balik, terowongan, dan banyak lagi.

Mass Mailer Attack : Jenis serangan ini dapat dilakukan terhadap satu atau beberapa individu, bahkan membiarkan Anda mengimpor daftar pengguna untuk dikirim ke orang yang Anda inginkan. Ini juga memungkinkan Anda menggunakan akun Gmail untuk serangan email Anda, atau menggunakan server Anda sendiri atau relay terbuka untuk pengiriman massal.

Terlepas dari opsi utama ini, Anda juga akan menemukan pilihan serangan berguna lainnya seperti Berbasis Arduino, Titik Akses Nirkabel, Pembuat Kode QR, dan Vektor Serangan Powershell.

Sekarang setelah Anda memiliki gambaran umum tentang Perangkat Rekayasa Sosial, mari beralih ke bagian yang menyenangkan, menginstal dan menguji perangkat lunak ini.

Installation

Memasang Perangkat Rekayasa Sosial cukup mudah dengan sebagian besar sistem operasi. Pada sebagian besar distro Linux, instalasi manual dapat dilakukan dengan menggunakan perintah berikut:


git clone https://github.com/trustedsec/social-engineer-toolkit/ set

cd set
pip install -r requirements.txt

Pastikan Anda telah menginstal pip.

Bagaimana cara menggunakannya?

Setelah SET diinstal, Anda dapat dengan mudah menjalankannya dari baris perintah dengan mengetik:


./setoolkit

Pertama, Anda akan melihat pesan persetujuan. Baca, terima dan selesai, Anda siap menggunakan alat ini. Maka Anda mungkin akan melihat pesan selamat datang berikut:

Setelah itu, Anda akan melihat menu yang menampilkan opsi yang paling umum:

Jika Anda mengeklik salah satunya, Anda akan mendapatkan daftar lengkap serangan yang tersedia. Misalnya, kami memilih nomor 1 dan ini adalah menu lengkap yang tersedia untuk opsi tersebut:

Hal yang sama berlaku untuk sisa opsi yang ditawarkan. Cukup pilih jenis serangan yang ingin Anda lakukan, lalu konfigurasikan cara untuk melakukannya.

Ketika berbicara tentang rekayasa sosial, salah satu metode paling umum yang terlintas dalam pikiran adalah penggunaan email phishing. Mari kita lihat seberapa bagus SET di area khusus ini.

Kami kembali ke menu utama, memilih opsi 5, dan inilah yang kami dapatkan:

Seperti yang Anda lihat, ini memungkinkan Anda memilih dari dua opsi berbeda: email satu alamat, atau banyak alamat. Kami akan menggunakan satu alamat email. Setelah kami memilih itu, itu menunjukkan kepada kami layar berikut, di mana kami benar-benar dapat memulai serangan email phishing:

Kami menggunakan contoh email phishing , yang diambil dari serangan phishing Paypal dunia nyata, untuk melihatnya langsung di kotak uji email kami. Tentu saja, sedikit pemformatan hilang dari contoh kami, tetapi hanya itu, pengujian langsung yang dimainkan dengan alat ini. Penyerang sejati akan berusaha lebih keras baik dalam gaya email maupun teks, tentu saja.

Seperti yang Anda lihat, email tiba dengan sempurna—tetapi berkat filter Gmail, email itu ditandai sebagai spam dan berpotensi ‘berbahaya’, serta diberi label sebagai ‘penipuan phishing’.